La semana pasada WSN cubrió la entrada en vigor de las obligaciones de transparencia del AI Act y el aplazamiento del régimen de alto riesgo hasta 2027 y 2028. Esa cobertura se centró en lo más visible del Reglamento europeo de Inteligencia Artificial: los chatbots que deben identificarse como IA y el contenido sintético que debe quedar etiquetado. Pero el AI Act impone otras obligaciones, menos comentadas y ya exigibles, que afectan a cualquier empresa que use inteligencia artificial en su operativa, la use de cara al público o no.
La alfabetización en IA, la obligación que lleva año y medio vigente
El artículo 4 del Reglamento obliga, desde el 2 de febrero de 2025, a que proveedores y empresas que despliegan sistemas de IA garanticen un nivel suficiente de formación entre el personal que los opera o supervisa. No existe un umbral de tamaño de empresa que exima de esta obligación, ni un temario cerrado que la defina. El Reglamento remite a criterios como los conocimientos técnicos previos del personal, su experiencia, su posición dentro de la organización y el contexto en el que se usa la herramienta. En la práctica, cualquier empresa que integre IA en sus procesos, desde atención al cliente hasta gestión documental, debe poder acreditar que ha adoptado medidas para que quien maneja esos sistemas entienda sus riesgos.
Vigencia: la obligación de alfabetización en IA rige desde el 2 de febrero de 2025, sin umbral de tamaño de empresa que exima de cumplirla.
Transparencia más allá de los chatbots y los deepfakes
El artículo 50, aplicable desde el 2 de agosto de 2026, contempla dos supuestos adicionales igual de exigibles que la identificación de chatbots y el etiquetado de deepfakes.
Emociones y biometría
Quien despliegue sistemas de reconocimiento de emociones o categorización biométrica debe informar a las personas expuestas a ellos.
Textos de interés público
Deben identificarse como generados por IA, salvo revisión humana con responsabilidad editorial sobre la publicación.
El marcado técnico recae sobre quien desarrolla el sistema
El mismo artículo 50 impone una obligación distinta a los proveedores de sistemas de IA de uso general que generan contenido sintético, ya sea audio, imagen, vídeo o texto. Es una distinción relevante para cualquier empresa que contrate herramientas de terceros, una cosa es la responsabilidad del fabricante de la IA y otra la de quien la despliega dentro de su organización.
Obligación del proveedor: los sistemas de IA de uso general que generan contenido sintético deben marcar sus resultados en un formato legible por máquina, detectable como generado o manipulado artificialmente.
Inferir emociones en el trabajo, una práctica prohibida desde 2025
Entre las prácticas de riesgo inaceptable que prohíbe el artículo 5 del Reglamento, aplicable desde febrero de 2025, se encuentra el uso de sistemas de IA para inferir las emociones de una persona en el lugar de trabajo. Fuera de las excepciones, herramientas que analicen expresiones faciales o tono de voz para evaluar el compromiso o el estado de ánimo del personal quedan fuera de la ley.
Prohibido desde febrero de 2025: usar sistemas de IA para inferir las emociones del personal en el lugar de trabajo, salvo por motivos médicos o de seguridad.
Infraestructuras críticas y control de fronteras, dos ámbitos menos conocidos
Además del empleo, la educación o la biometría, ya mencionados en la cobertura anterior del calendario del AI Act, el Reglamento clasifica como alto riesgo dos ámbitos que conviene tener en el radar. Ambos quedan sujetos a las obligaciones plenas del Anexo III a partir del 2 de diciembre de 2027, en línea con el aplazamiento del Ómnibus Digital sobre IA que ya recogimos la semana pasada.
Desde diciembre de 2027
Infraestructuras críticas
Infraestructuras digitales críticas, tráfico rodado y suministro de agua, gas y electricidad se suman al Anexo III de alto riesgo.
Migración y fronteras
Migración, asilo y control de fronteras entran en la misma categoría de alto riesgo.
Qué puede hacer una empresa ahora
Con este mapa de obligaciones ya activo, el ejercicio práctico para cualquier empresa se reduce a cinco pasos:
Identificar qué sistemas de IA utiliza la empresa y con qué finalidad.
Comprobar si alguno de esos usos coincide con las prácticas prohibidas del artículo 5.
Valorar si algún sistema puede clasificarse como de alto riesgo.
Revisar si le resultan aplicables las obligaciones de transparencia del artículo 50.
Adoptar medidas de alfabetización en IA para el personal que opera estas herramientas.
Para empresas de telecomunicaciones, conectividad satelital y tecnología digital, el AI Act no es una normativa que afecte solo a quienes desarrollan modelos de IA. Cualquier organización que use estas herramientas en sus operaciones, desde sistemas de atención al cliente hasta infraestructuras de red, es responsable del despliegue conforme al Reglamento. El plazo para el alto riesgo se ha movido a 2027 y 2028, pero la alfabetización en IA, la transparencia del artículo 50 y las prohibiciones del artículo 5 ya son exigibles hoy.